Quishing-Betrug: BKA und Nationalbank warnen vor gefälschten QR-Codes

Das Bundeskriminalamt (BK) und die Oesterreichische Nationalbank (OeNB) warnen gemeinsam vor einer neuen Betrugsmasche namens „Quishing“. Der Begriff setzt sich aus QR-Code und Phishing zusammen.

Banking, PayPal und Online-Shopping – auf keinem anderen Gerät speichern wir so viele sensible Daten wie auf dem Smartphone, was sie zum perfekten Ziel für Quishing macht. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Gerät wirksam absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Gefälschte Codes führen auf falsche Seiten

Kriminelle verteilen manipulierte QR-Codes, meist über unpersönliche E-Mails. Sie bauen gezielt Zeitdruck auf: Ein Zugang laufe angeblich ab, eine sofortige Verifizierung sei nötig. Wer den Code scannt, landet oft ohne weitere Sicherheitsabfrage auf professionell gestalteten Kopien von Bank- oder Online-Shop-Seiten.

Das Problem: Smartphones öffnen die hinterlegten Webadressen automatisch. Die Opfer merken erst zu spät, dass sie ihre sensiblen Bank- oder Zugangsdaten auf einer gefälschten Seite eingegeben haben.

BK-Direktor Holzer betont: „QR-Codes können technologisch die gleiche Gefahr darstellen wie betrügerische Links in Phishing-Mails.“ Aufmerksamkeit und kritische Prüfung seien die wirksamsten Schutzmaßnahmen. OeNB-Direktor Meichenitsch ergänzt: Bei unerwarteten Nachrichten, die zur Eingabe vertraulicher Daten auffordern, sei höchste Vorsicht geboten.

Physische Pakete und KI als neue Waffen

Die Betrugsmaschen entwickeln sich rasant weiter. Die US-Handelsbehörde FTC und das FBI berichten von einer neuen Taktik: Kriminelle verschicken unbestellte Pakete direkt an Haushalte. Darin enthaltene QR-Codes locken mit Gewinnbenachrichtigungen oder Paketregistrierungen. Die physische Zustellung soll das Misstrauen senken und eine falsche Legitimität vortäuschen.

Parallel dazu steigt der Einsatz von Künstlicher Intelligenz. IT-Sicherheitsexperten verzeichnen einen massiven Anstieg bei Deepfakes und Voice Cloning – um über 1.200 Prozent. Die Erkennungsraten für Quishing-Versuche stiegen laut Analysen von Microsoft Defender im ersten Quartal 2026 um rund 146 Prozent.

Die globalen Verluste durch Betrugsmaschen? Für das Vorjahr auf etwa 580 Milliarden US-Dollar beziffert.

Ein veraltetes Smartphone-System ist wie eine offene Haustür für Cyberkriminelle, die immer raffiniertere Methoden wie KI-Betrug nutzen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Update-Report herunterladen

Gefahr auch bei Banking-App-Umstellung

Auch im deutschen Sprachraum bleibt die Lage angespannt. In Thüringen verlor eine Seniorin Mitte Juni über 11.000 Euro. Sie hatte auf eine SMS eines angeblichen Bankmitarbeiters reagiert.

Parallel warnen Sparkassen vor Phishing-Wellen im Zusammenhang mit der Einstellung der Sicherheits-App „S-ID-Check“. Sie wird bis Ende 2026 durch die „S-pushTAN-App“ ersetzt. Kriminelle nutzen den Umstellungsprozess für den Diebstahl von Zugangsdaten.

Die Experten von Nationalbank und Bundeskriminalamt raten dringend: Webadressen nach dem Scannen eines QR-Codes sorgfältig prüfen, bevor Daten eingegeben werden. Grundsätzlich keine vertraulichen Informationen auf Portalen hinterlassen, die ausschließlich über einen gescannten Code erreicht wurden.

OeNB-Direktorin Niederländer betont: Die Institutionen setzen verstärkt auf Information und Prävention, um die Bevölkerung für diese digitalen Bedrohungen zu sensibilisieren.